好，回答您的部分问题-如果您使用CI的input class，它会为您执行安全筛选...当调用新控制器时，会自动调用安全筛选功能。
因此，如果使用**$this-〉input-〉post（）**而不是$_POST....它
筛选GET/POST/COOKIE数组键，只允许字母数字（和少数其他）字符。
Input类具有自动过滤输入以防止跨站脚本攻击的功能。如果你想让过滤器在每次遇到POST或COOKIE数据时自动运行，你可以打开application/config/config.php文件并设置如下：
$config['global_xss_filtering'] = TRUE;
或仅在需要时使用TRUE作为第二个参数。

$this->input->post(NULL, TRUE); // returns all POST items with XSS filter

因此我认为您可以扩展核心Input类，

class MY_Input extends CI_Input {

    function __construct()
    {
        parent::__construct();
    }
}

并在此处添加自定义函数来替换某些字符和修整值。然后，此Input类为您预处理全局输入数据以确保安全性和数据库一致性。
希望能有所帮助

如果您希望对所有POST数据运行此函数，而无需 * 每次 * 都调用此函数，请考虑将其放在控制器的构造函数中，或者放在控制器父级的构造函数中。

在控制器的构造函数中：

class Home extends CI_Controller{
    function __construct(){
        parent::__construct();
        if(!empty($_POST)) array_walk_recursive($_POST, 'nasty_chars_replace');
    }

    function index(){
        //typically a GET request, nasty_chars_replace will not execute.
    }

    function post_here1(){
        //will be nasty char cleaned.
    }

    function post_here2(){
        //will be nasty char cleaned.
    }

}

现在你可以想象，这必须写在你所有控制器的构造函数中。如果你只想写一次，考虑先从基类扩展你的控制器，然后把它写在父类的构造函数中：

在父控制器的构造函数中：

class MY_Controller extends CI_Controller{
    function __construct(){
        parent::__construct();
        if(!empty($_POST)) array_walk_recursive($_POST, 'nasty_chars_replace');
    }
}

...然后回到home.php：

class Home extends MY_Controller{
    function __construct(){
        parent::__construct();
    }

    function index(){
        //typically a GET request, nasty_chars_replace will not execute.
    }

    function post_here1(){
        //will be nasty char cleaned.
    }

    function post_here2(){
        //will be nasty char cleaned.
    }
}

我鼓励您查看Phil Sturgeon的Keeping It Dry帖子，了解有关如何使用此基类继承的更多信息。

如果要防止XSS攻击，请尝试使用Codeigniter中的库：
1.在application/config/autoload.php中添加这个助手：
数组（'安全性'）;
1.在application/config/config.php中设置为这个：
如果是，则将其设置为TRUE。
这将从XSS攻击中过滤所有GET、POST或COOKIE数据，并且工作正常